OpenAI เปิดเผยแคมเปญดูด reasoning ที่ซ่อนอยู่ของโมเดล โยงกลุ่มหลักกับคนที่เกี่ยวข้องกับ Moonshot AI — ขณะที่นักวิจัยพบว่าบน Azure วิธี replay เดียวกันยังใช้กับ GPT-6 Astra ได้อยู่จนถึงปลาย ก.ย.

30 ก.ย. 2026 OpenAI เผยแพร่รายงาน “Disrupting a coordinated model distillation campaign” ระบุว่าตรวจพบและหยุดแคมเปญที่พยายามดึง protected reasoning หรือขั้นตอนคิดภายในที่โมเดลไม่ได้แสดงให้ผู้ใช้เห็น เพื่อนำไปเทรนหรือเลียนแบบโมเดลอื่น ซึ่งเรียกว่า adversarial distillation ในวันเดียวกัน ทีมนักวิจัยที่เป็นผู้ค้นพบช่องโหว่นี้ตั้งแต่เดือน ก.ค. (บล็อกนี้เคยรายงานงานวิจัยฉบับแรกไว้เมื่อ 12 ส.ค.) ได้ออกรายงานอัปเดตชื่อ “Adversaries can still steal reasoning from American frontier models via third-party cloud aggregators” พร้อมโพสต์บน X ว่า “We stole reasoning. Again.”

ทั้งสองเอกสารชี้ไปที่ปัญหาเดียวกัน คือการปิดช่องโหว่ที่ API ของตัวเองไม่ได้แปลว่าปิดได้ทั้งระบบ เพราะโมเดลชุดเดียวกันยังขายผ่านคลาวด์ของพาร์ตเนอร์ที่มีระบบป้องกันไม่เท่ากัน

OpenAI บอกว่าเกิดอะไรขึ้น

OpenAI ระบุว่าผู้โจมตี ไม่ได้เจาะการเข้ารหัส และไม่ได้เข้าถึงฐานข้อมูล แต่ใช้วิธีคัดลอก encrypted reasoning จากบทสนทนาหนึ่ง แล้วไปสั่งโมเดลในอีกบทสนทนาหนึ่งให้ “ถอดรหัสและเขียนออกมา” ตัวเลขที่ OpenAI ให้ไว้มีดังนี้

• กิจกรรมเริ่มเมื่อ 1 ก.ค. ในปริมาณน้อย แล้วพุ่งขึ้นในวันที่ 24–25 ก.ค. เป็น 16,000 คำขอจากผู้ใช้กว่า 4,000 ราย ที่ใช้รูปแบบการดึงข้อมูลแบบเดียวกัน
• ตรวจสอบต่อพบกลุ่มบัญชีที่เกี่ยวข้อง กว่า 15,000 บัญชี และหยุดได้ทั้งหมดภายใน 28 ก.ค.
• เชิงอรรถระบุว่าตัวเลขเหล่านี้ “describe attempted, not necessarily successful, extractions”
• “we attribute a core cluster of the activity to individuals associated with Moonshot AI, the developer of Kimi” แต่ยอมรับว่าไม่แน่ชัดว่าทั้งหมดมาจากผู้กระทำรายเดียว

มาตรการที่ OpenAI ใช้คือแบนบัญชีปลอม เข้มงวดการสมัครใช้งาน ปิดช่องที่ให้คนที่ถือ encrypted reasoning ของผู้ใช้อื่นนำไป replay และเพิ่มการตรวจจับ streamed output ที่อาจเผย reasoning แล้วพักไว้ก่อน OpenAI ยังยอมรับในรายงานว่า “Partner-hosted deployments need the same protections as first-party services” ซึ่งเป็นประเด็นเดียวกับที่นักวิจัยอัปเดตไว้

นักวิจัยพบว่า Azure ยังเปิดอยู่

รายงานอัปเดต (Schaeffer, Panfilov, Schmotz, Shumailov และคณะ) ทดสอบใหม่เมื่อ 13 ก.ย. ทั้งบน API ตรงของแล็บและบนคลาวด์ตัวกลาง ผลที่สำคัญมีดังนี้

• Reasoning replay (นำ reasoning blob ที่เข้ารหัสไปให้โมเดลที่อ่อนกว่าในตระกูลเดียวกันถอดออกมา) ใช้ไม่ได้แล้ว บน OpenAI API และ Anthropic API โดยตรง แต่ บน Microsoft Azure ยังใช้ได้กับโมเดล OpenAI ทุกตัวที่ทดสอบ รวมถึง GPT-6 Astra และกับโมเดล Anthropic รุ่นเก่า (ไม่รวม Opus 5 และ Fable) โดย “a single decoding attempt recovers a trace whose length is within a few tokens of the provider-reported reasoning-token count”
• Scratchpad attack (ให้โมเดลมี tool ชื่อ “think” แล้วสั่งให้เขียน reasoning ลงใน argument) ยังดึง reasoning ได้จาก โมเดล OpenAI ทุกตัว และจาก Opus 4.8 กับ Sonnet 5 รายงานระบุว่ามีเพียง Opus 5, Fable 5 และ Fable 5.1 ที่ไม่เผย reasoning
• reasoning ที่ได้จากทั้งสองวิธีแทบไม่ต่างกัน เมื่อทดสอบกับ GPT-6 Astra บนโจทย์ HLE 152 ข้อ ความยาวมัธยฐานเท่ากันที่ 128 โทเคน และ classifier แยกได้เพียง AUC 0.64

ข้อเท็จจริงที่ควรระบุให้ครบ (บางสำนักข่าวไม่ได้ระบุ) คือ ไทม์ไลน์ในรายงานเดียวกันบอกว่านักวิจัยแจ้งช่องโหว่รอบสองเมื่อ 14 ก.ย. OpenAI เพิ่มมาตรการบน Azure เมื่อ 27 ก.ย. และฝั่ง Anthropic รายงานว่าทำซ้ำบน Azure ไม่ได้แล้วตั้งแต่ 28 ก.ย. สถานะ “ยังใช้ได้บน Azure” จึงเป็นสถานะ ณ กลาง ก.ย. ซึ่งเปิดอยู่ราวสองสัปดาห์หลังแจ้ง ส่วน scratchpad attack รายงานไม่ได้ระบุว่าแก้แล้ว

มุมมอง AI Curator

ใจความสำคัญของเรื่องนี้ไม่ใช่แค่ว่า Moonshot ถูกกล่าวหา (Anthropic กล่าวหาแบบเดียวกันไปแล้วเมื่อกลาง ก.ย.) แต่คือปัญหา “security arbitrage” ที่รายงานอัปเดตตั้งชื่อไว้ โมเดลตัวเดียวกันขายผ่าน API ตรง, Azure, Bedrock, Vertex และ OpenRouter แต่ละช่องทางมีระบบป้องกันคนละชั้นและอัปเดตไม่พร้อมกัน ผู้โจมตีจึงเลือกใช้ช่องทางที่อ่อนที่สุดได้เสมอ การที่ GPT-6 Astra ขึ้น Azure โดย “zero inherited protections” ตามที่รายงานเขียนไว้ บอกว่าการตรวจความปลอดภัยก่อนเปิดตัวยังจำกัดอยู่แค่ endpoint ของแล็บเอง

สำหรับนักพัฒนามีผลกระทบโดยตรงสองเรื่อง ข้อแรก reasoning blob ที่เราส่งกลับไปในแต่ละ turn (encrypted reasoning ของ OpenAI หรือ thinking block ของ Claude) ไม่ใช่ของที่เปิดเผยไม่ได้อย่างที่คิด ถ้าแอปเก็บ blob เหล่านี้ไว้ใน log หรือ session ที่คนอื่นเข้าถึงได้ ข้อมูลที่โมเดลคิดไว้ระหว่างทาง ซึ่งอาจมี PII หรือ credential จาก context ก็อาจถูกถอดออกมาได้ ข้อสอง มาตรการป้องกันที่ทยอยออกมา เช่น การผูก blob เข้ากับบริบทเดิม และการพัก streamed output ที่น่าสงสัย อาจทำให้พฤติกรรมของ API เปลี่ยนแบบไม่ได้ประกาศล่วงหน้า โดยเฉพาะแอปที่ส่ง reasoning item ข้ามบทสนทนา ซึ่งควรทดสอบให้ดี

ในภาพใหญ่ เรื่องนี้จะถูกใช้เป็นเหตุผลสนับสนุนการคุมการเข้าถึงโมเดล frontier ให้เข้มขึ้นสำหรับผู้ใช้นอกสหรัฐ ทั้งการยืนยันตัวตนที่เข้มขึ้นและการจำกัดบางภูมิภาค นักพัฒนาในไทยและอาเซียนที่ใช้ Azure OpenAI เป็นช่องทางหลักควรเตรียมรับมือกับ KYC ที่เข้มขึ้นและฟีเจอร์ reasoning ที่อาจถูกจำกัดมากขึ้นในอนาคต

แหล่งข่าว

• OpenAI says it stopped a campaign to steal its models’ reasoning, but the trick still worked on Azure — The Decoder (1 ต.ค. 2026)
• Disrupting a coordinated model distillation campaign — OpenAI (30 ก.ย. 2026)
• Adversaries can still steal reasoning from American frontier models via third-party cloud aggregators — Schaeffer et al. (PDF, ก.ย. 2026)
• Stealing Reasoning Traces from Proprietary LLM APIs — arXiv 2608.09867